2020年人脸识别技术在App应用中的隐私安全研究报告.pdf

*研究报告（2020 年） 1 人脸识 别技术 在App 应用 中的隐 私安全 研究报告 （2020 年） 中国信息通信研究院安全研究所 北京百度网讯科技有限公司 2020 年 6 月版权声明 本报告版权属于中国信息通信研究院安全研究所、北 京百度网讯科技有限公司，并受法律保护 。 转载、摘编或 利用其它方式使用 本 蓝 皮书文字或者观点的，应注明“ 来 源：中国信息通信研究院安全研究所、北京百度网讯科技 有限公司” 。 违反 上述声明者， 本 院 将追究其相关 法律责任。 中国信息 信研究院安 研究所 2020 年 6 月 中国信息 信研究院安 研究 所 2020 年 6 月编写团队 编写单位 ： 中国信息 通信研 究院安全 研究所 北京百度 网讯科 技有限公 司 编写组成 员： （姓 氏笔画为 序） 王然、王磊、王洋、王海棠、刘焱、陈 湉 、 杜悦艺、 吴月升、 唐佳伟 前 言 近两年， 随着人 脸 识别技术 的迅速 发 展， “刷脸 ” 逐 渐成 为新时 期生物识 别技术 应 用的主要 领域 。 尤 其是在进入 2017 年 之后， 人脸 识别更是迎 来了井 喷式的爆发 ，互联 网企业面对 法律法 规以及某些 业务上的需 求，纷 纷推出账号 实名认 证，并将人 脸认证 环节在相关 App 中实现。 然而 ，人脸识别技术 在 快速发展、深入 社 会的同时， 也给我们带 来了诸 多安全挑战 。个人 隐私数据泄 漏、技 术滥用等造 成的信息 安全风 险 问题亟待 解决。 目 录 一、人脸识别技术的基本情况 . 1 (一) 人脸识别技术 . 1 (二) 身份验证中的人脸识别技术应用示例 . 2 (三) 人脸识别技术的特点 . 3 (四) 人脸识别技术的难点 . 4 二、人脸识别技术的应用 . 5 (一) 人脸识别技术应用的市场前景 . 5 (二) 企业研究人脸识别技术的应用概况 . 7 (三) 人脸识别技术在App 中的应用场景 . 8 三、人脸识别App 面临的安全风险 . 14 (一) 网络和数据安全保障机制欠缺易造成人脸数据泄漏 . 14 (二) 人脸识别技术应用不规范为人脸数据滥用提供可能 . 15 (三) 人脸的深度伪造技术严重威胁用户财产甚至人身安全 . 16 四、 人脸识别App 的个人信息保护相关建议 . 17 (一) 加快人脸识别相关法律法规研制进程 . 17 (二) 加快构建人脸识别技术应用监管体系 . 18 (三) 加快推进人脸识别技术的安全系列标准研制 . 18 (四) 鼓励行业协会或社会组织开展行业自律 . 19 图 目 录 图1 人脸识别在App 中的身份验证流程图 . 3 图2 人脸识别市场应用分布图 . 6 图3 人脸识别行业产业链结构示意图 . 7 图4 10 款App 的隐私行为统计图 . 22 表 目 录 表1 2020 年我国计算机视觉市场规模预测 . 6 人脸识别技术在 APP 应用中的 隐私安全研究报告（2020 年） 1 一、 人脸识别 技术的 基本情况 人脸识别是基于人 的脸部特征信息进 行身份识别的一种 生物识 别技术。具 体而言 ，就是计算 机通过 视频采集设 备获取 识别对象的 面部图像， 再利用 核心的算法 对其脸 部的五官位 置、脸 型和角度等 特征信息 进行计 算 分析， 进而 和自身 数 据库里已 有的范 本 进行比对 ， 最后判断 出用户 的 真实身份 。 ( 一) 人脸识别技术 从采集人脸到辨识 人脸的整个流程上 来看，人脸识别技 术一般 包括： 人 脸图像 采 集及检测 、 人脸 特 征提取 （ 关键点 提 取） 、 人脸规 整（图像 处理） 和 人脸识别 比对等 。 1. 人脸图像 采集及 检测 不同的人脸图像都 能通过摄像镜头采 集下来，比如静态 图像、 动态图像、 不同的 位置、不同 表情等 方面都可以 得到很 好的采集。 当用户在采 集设备 的拍摄范围 内时， 采集设备会 自动搜 索并拍摄用 户的人脸图 像。人 脸检测在实 际中主 要用于人脸 识别的 预处理，即 在图像中 准确标 定 出人脸的 位置和 大 小。 2. 人脸特征 提取（ 关键点提 取） 人脸识别 系统可 使 用的特征 通常分 为 视觉特征、 像素统 计 特征、 人脸图像变 换系数 特征、人脸 图像代 数特征等。 人脸特 征提取就是 针对人脸的 某些特 征进行的。 人脸特 征提取，也 称人脸 表征，它是人脸识别技术在 APP 应用中的 隐私安全研究报告（2020 年） 2 对人脸进行 特征建 模的过程。 人脸特 征提取的方 法归纳 起来分为两 大类：一种 是基于 知识的表征 方法； 另外一种是 基于代 数特征或统 计学习的 表征方 法 。 3. 人脸规整 （图像 处理） 对于人脸的图像预 处理是基于人脸检 测结果，对图像进 行处理 并最终服务 于特征 提取的过程 。系统 获取的原始 图像由 于受到各种 条件的限制 和随机 干扰，往往 不能直 接使用，必 须在图 像处理的早 期阶段对它 进行灰 度校正、噪 声过滤 等图像预处 理。对 于人脸图像 而言，其预 处理过 程主要包括 人脸图 像的光线补 偿、灰 度变换、直 方图均衡 化、归 一 化、几何 校正、 滤 波以及锐 化等。 4. 人脸识别 对比 提取的人脸图像的 特征数据与数据库 中存储的特征模板 进行 搜 索匹配，通 过设定 一个阈值， 当相似 度超过这一 阈值， 则把匹配得 到的结果输 出。人 脸识别就是 将待识 别的人脸特 征与已 得到的人脸 特征模板进 行比较 ，根据相似 程度对 人脸的身份 信息进 行判断。可 分为1:1、1:N 、属 性识别。 其中1:1 是将2 张人 脸对应 的特征值 向 量进行比 对， 1:N 是将 1 张人 脸照片 的 特征值向 量和另外N 张人脸 对 应的特征 值向量 进 行比对， 输出相 似 度最高或 者相似 度 排名前 X 的 人脸。 ( 二) 身份验证中的人 脸识别技术应用 示例 人脸识别技术在 APP 应用中的 隐私安全研究报告（2020 年） 3 目前很多 App 加入 了人脸识 别功能 ， 然而现在 人脸识 别 应用还 处于初级 阶段， 目 前我国应 用最多 还 是1 ：1 等级， 也就 是人脸识 别 中最初级的“ 证明 你是你” ， 一般应 用于身份核 对方面 。具体的人 脸识别在App 中 的 身份验证 流程如图1 所示。 数据来 源：CSDN 博客 图1 人脸识别在App 中的身份验证流程图 用户拍摄 自己身 份 证信息并 上传App ， App 经过 公民身 份信 息查 询获取用户 信息及 身份证系统 证件照 片，建立用 户档案 并关联用户 人脸；当 App 扫描 用户人像 时，经 活 体检测、 人脸质 量 检测、人 脸 图像等处理 后与先 前获取的用 户人像 照片进行人 脸对比 ，完成身份 验证的过 程。 ( 三) 人脸识别技术的 特点 人脸识别 的优势 在 于其自然 性和不 被 被测个体 察觉的 特 点。 1. 自然性 自然性是指该识别 方式同人类（甚至 其他生物）进行个 体识别 时所利用的 生物特 征相同。例 如人脸 识别，人类 也是通 过观察比较 人脸区分和 确认身 份的，另外 具有自 然性的识别 还有语 音识别、体人脸识别技术在 APP 应用中的 隐私安全研究报告（2020 年） 4 形识别等， 而指纹 识别、虹膜 识别等 都不具有自 然性， 因为人类或 者其他生 物并不 通 过此类生 物特征 区 别个体。 2. 非接触性 人脸识别完全利用 可见光获取人脸图 像信息，不同于指 纹识别 需要利用手 指接触 传感器采集 指纹， 用户不需人 脸与设 备直接来接 触，可以同 时满足 多人连续进 行人脸 图像信息的 识别和 分拣，在医 院测温、小 区门禁 等一些应用 场景下 人脸识别技 术的非 接触性特点 可为用户提 供 便利。 ( 四) 人脸识别技术的 难点 人脸识别被认为是 生物特征识别领域 甚至人工智能领域 最困难 的研究课题 之一。 人脸识别的 困难主 要是人脸作 为生物 特征的特点 所带来的 。 1. 相似性 不同个体之间的区 别不大，所有的人 脸的结构都相似， 甚至人 脸器官的结 构外形 都很相似。 这样的 特点对于利 用人脸 进行定位是 有利的，但 是对于 利用人脸区 分人类 个体是不利 的。例 如双胞胎现 象，全世 界双胞 胎 平均出生 率为 1 89 ，有些双 胞胎面 部 存在差异 ， 有些双胞胎 甚至从 面部特征来 看相似 度极高，对 于人脸 识别系统形 成非常大 的挑战 ， 几乎从生 物特征 上 很难区别 出个体 。 2. 易变性 人脸识别技术在 APP 应用中的 隐私安全研究报告（2020 年） 5 人脸的面部特征具 有不稳定性，人可 以通过脸部的变化 产生很 多表情，而 在不同 观察角度， 人脸的 视觉图像也 相差很 大 。 另外， 人脸识别 还受光 照 条件 （例如 白天和 夜晚， 室内 和室外 等） 、 人 脸的 很多遮盖 物 （例如 口罩、 墨镜、 头发 、 胡须等 ） 、 年龄 等 多方面因 素 的影响。 3. 易攻击性 随着数字拍照、视 频合成技术等发展 ，越来越容易获得 某个 特 定 人的人脸信息或者合成人脸信息。更甚至随着对抗训练 （Adversarial Training ）的深度学习技术的发展，计算 机可以合 成高精度 的任何 人 的人脸信 息。 二、 人脸识别 技术的 应用 近年来，由于人工 智能的飞速发展， 人脸识别技术取得 了显著 的发展，被 广泛使 用于身份认 证等 实 际应用中， 小到日 常的手机屏 幕人脸解 锁， 大到 政府 部门使 用人脸 识 别技术进 行公民 的 身份认定 ， 人脸识别 技术已 经 逐渐普及 到人们 的 日常生活 中。 ( 一) 人脸识别技术应 用的市场前景 2018 年中国 计算机 视觉人脸 识别市 场 规模为151.7 亿元 。根据 前瞻产业 研究院 对 六大权威 机构的 汇 总， 乐观估 计2020 年我国计 算 机视觉市 场规模 有 望突破1000 亿， 具 体数据如 表一所 示 ； 中性 预测 2020 年我国 计算机 视觉市场 规模在700 亿元左 右，市 场发 展前景可人脸识别技术在 APP 应用中的 隐私安全研究报告（2020 年） 6 期。 表一 2020 年我 国计 算机视觉 市场规 模 预测 机构类型 机构 规模 复合增长 率 国内机构 CAICT 600 亿元 96% 腾讯研究 院 660 亿元 110% 左右 艾瑞咨询 725 亿元 162.7% 艾媒iiMedia Research 780 亿元 125.5% 国外机构 Ganter 110 亿 美元 117% CB Insight 160 亿 美元 128% 数据来 源： 前瞻 产业 研究 院 根据亿欧智库研究 报告显示，人脸识 别市场应用涵盖安 防、金 融、智慧园 区、交 通出行、互 联网服 务等多个行 业领域 。根据亿欧 智库的统 计结果 显 示，2018 年安防 占 人脸识别 市场份 额 的 61.1% ， 金融占17.1% ， 智慧 园区占6.7%，互联 网服务占3.9% ，交 通出行占 3.3% ，个 人智能 占2.9% ， 其他（ 包括： 智能汽车 、智能 零 售、政务 服务、运 营商服 务 等）占 5.0% ，人 脸 识别应用 市场份 额 分布如图 2 所示。 数据来 源： 亿欧 智库 研究 报告 图2 人脸识别市场应用分布图 人脸识别技术在 APP 应用中的 隐私安全研究报告（2020 年） 7 从以上数据可以看 出，人脸识别技术 应用越来越广泛， 为经济 社会的发 展以及 人 们日常生 活的便 捷 带来了新 机遇。 ( 二) 企业研究人脸识 别技术的应用概 况 人脸识别目前在国 内发展迅速，各种 新兴企业如雨后春 笋，中 国人脸识别 的独角 兽：旷视科 技，商 汤科技。同 时，云 从科技，依 图科技等初 创公司 也在 持续发 力抢夺 市场。从人 脸识别 行业产业链 条来看 （如图3 所 示） ， 人 脸识别 产业 的上游是 硬件基 础 的支撑， 包 括高清摄 像头、 处 理芯片(CPU 、GPU、TPU) 、 服 务器和 数 据与视频 传 输设备；产 业链中 游主要是人 脸识别 算法和软件 服务； 产业链下游 则是具体 的场景 应 用，即应 用方案 、 消费类终 端或服 务 等。 数据来 源： 前瞻 产业 研究 院整理 图3 人脸识别行业产业链结构示意图 国内的互联网企业 百度、阿里巴巴、 腾讯对人脸识别这 个方向 相当重视， 阿里巴 巴控股旷视 科技、 商汤科技、依 图 科技 ，并且开人脸识别技术在 APP 应用中的 隐私安全研究报告（2020 年） 8 发 了 自己的 人脸识 别接口，已 全面将 人脸识别技 术应用 到支付宝、 淘宝等 App 中， 并联 合 集团 旗下其 他 业务板块 ，研究 人 脸识别的 应 用场景； 腾讯旗 下 拥有自己 的优图 团 队， 为QQ 空 间、 腾 讯地图、 腾 讯游戏等50 多款App 提供图 像技术 支持 ； 百度人脸 识别也 依 靠庞大 的数据资源 发展迅 速 ， 通过使 用人脸 识别技术已 推出百 度识图、脸 优等App。 除此 之外 ， 这三家 大型互 联网 企业可以 为开发 者 提供开放 平台并免 费进行 调 试。 ( 三) 人脸识别技术在App 中的应用 场 景 随着人脸识别技术 的日益成熟，我们 可以看到已经有很 多 App 用到了人 脸识别 技 术，特别 是金融 和 互联网领域 的 App 纷纷接入了 人脸识别技术 应用 于身份识别 和面部 特征提取分 析 。 目 前，人脸识 别技术主要 应用在 金融类、在 线教育 类、电信类 、出行 类、美图娱 乐类、电 商类、 智 慧园区类 App 中。 本报告将 分析人 脸 识别技 术在 这7 类App 中具体的 应 用 场景 以 及应用 的 目的 和存在 的 问题。 1. 金融类App 中的 应用场景 金融类 App 接 入人 脸识别功 能最主 要 是为了保 障用户 在 使用过 程中的资 金交易 安 全性。 以互联 网金 融行业中 最具代 表 性的 “ 支付 宝”这一 款 App 为 例进行说 明，用 户 在利用“ 借呗” 借 钱时，除 了 输入密码 之外一 般 还需要进 行人脸 检 测来确认 此时的 App 操作者 是 本人，通过 人脸识 别可以有效 防止支 付宝账号被 盗造成 用户财产损 失的情况 发生。 除 此之外， 金融类 App 还可 以通过 人脸 识别技术 提人脸识别技术在 APP 应用中的 隐私安全研究报告（2020 年） 9 供 远程开户 、绑卡 核身、账户 登录、 分期购物、 人脸考 勤、人脸支 付等服务 。 在人脸识别落地金 融行业过程中，各 大银行也纷纷尝试 将人脸 识别引入 刷脸支 付 、 即时 开卡 、VTM 等 金融场景 中， 但从 技术角度 来 看， 人脸识别 并不是 万能的。 虽然 现在人 脸识别技 术已经 非 常成熟， 但是光线 条件、天 气（雨、 雪、雾 ） 、 用户整容 等仍然会 影响人脸 识 别结果。人 脸识别 在转账支付 、即时 开卡等高安 全级别 业务 中 的应 用 还是需要 更审慎 一些，不能 单纯依 靠人脸识别 技术 来解 决 用户身 份核查的问 题，还 需要采用包 括人脸 识别在内的 双因素 甚至多因素 认证来提 升身份 核 查在金融 领域的 安 全性。 2. 在线教育 类App 的应用场 景 在线教育 类 App 接 入人脸识 别功能 的 用途之一 是为了 查 验学员 身份，避免 一账号 多个人使用 的情况 ，给网校造 成损失 。通过人脸 识别可以很 大程度 降低账号共 用的 问题 ，通过一 定频率 的触发人脸 识别机制， 校验当 前使用网校 账号的 面孔是否为 存储在 系统中的面 部图像，若 系统识 别为同一学 员，则 继续进行当 前的操 作，若识别 到 是 不同的 人，则 会强制退出 登录。 除此之外， 人脸识 别功能的另 一用途是帮 助在线 课堂老师了 解学生 学习状态。 在线课 程与线下课 堂不同，可 能同时 有数千名学 生在远 程听课，老 师无法 通过观察每 位 学生的 表情 来识 别学生对于 课程的 接收程度。 通过面 部表情识别 可以让教师 更加理 解学生的需 求，弥 补网络授课 相较于 传统授课在人脸识别技术在 APP 应用中的 隐私安全研究报告（2020 年） 10 师生交流 环节上 的 不足。 在线教育 类 App 主 要服务对 象是中 小 学生，其 中大多 数 是未满 14 周岁 的儿童 ，由 于儿童认 知能力 、 危险识别 能力和 自 我保护能 力 相对薄弱， 儿 童的个 人生物识 别信息 更 是社会各 界保护 的 重点。 2019 年 9 月 5 日， 教育 部科学技 术司司 长 雷朝滋在教 育 部新闻 发布会 上 针对在线 教育App 采集学生 的个人 信 息安全问 题表 示， “ 能不采就 不 采，能够少 采就少 采，尤其是 涉及到 学生个人生 物信息 ，对于人脸 识别或者 肢体识 别 的教育 APP 加 以限 制和规范 ，同时 我 们希望学 校 慎重使用 。”除 此之 外， 根据 南都个 人信 息保护研 究中心 发 布的 人 脸识别落 地场景 观 察报告 （2019 ） 的 调研结果 显示，33.84%的受 访 人员不同意 将人脸 识别技术应 用到教 育类相关系 统中。 由此可见， 在对未成年 人使用 人脸识别技 术时应 更加谨慎， 通过安 全保障措施 加强对未 成年人 的 权益保护 。 3. 电信类App 的应 用场景 电信类 App 接入 人 脸识别功 能的主 要 目的是为 了实 现 SIM 卡激 活过程中的实 人认 证。以“中国 移动 App ”为 例，用户在 中国移动 App 上 购买 SIM 卡之 后， 需 要在App 的 “ 卡号激活 ” 业 务功 能中完成 实人认证， 在激活 的过程中上 传身份 证信息后进 行人像 视频认证， 视频认证 过程中 需 要用户录 制一段 6 秒的视屏 ，录制 的 内容为朗 读 屏幕上随 机产生 的 4 位 验证码 。视频 审核通过 后 SIM 卡 才可激活 成 功。 人脸识别技术在 APP 应用中的 隐私安全研究报告（2020 年） 11 2019 年9 月27 日， 工信部办 公厅印 发 了 关于 进一步 做好 电话 用户实名 登记管 理 有关工作 的通知 ， 指导电信 企业扎 实 开展电话 用 户实名登记 工作。为确保电话 入网环 节人证一致 ，创新 运用人工智 能等技术 手段， 工信 部 要 求电 信 企业自 2019 年 12 月 1 日起在实 体 渠道全面实 施人像 比对技术措 施，人 像比对一致 后方可 办理入网手 续。因此， 为了维 护公民在网 络空间 的合法权益 ，有效 防范电信网 络诈骗的 问题 ， 在线 上办理SIM 卡激活 时 也同样需 要进行 人 脸识别。 4. 出行类App 的应 用场景 出行类App 接入人 脸 识别功能 能够最 大 限度的保 障司机 的 安全、 乘客的安全 以及载 运货物的安 全。以 “滴滴出行 ”这一 款人脸识别 App 为例 进行说 明， 司机在App 中填 写 完各种基 础资料 之 后， 还需 要 进行人脸图 像的认 证这最后一 步操作 才能进行接 单，它 一方面可以 保障司机的 身份信 息和财产安 全，防 止出现盗号 的情况 ；另一方面 也可以保 障乘客 的 人身安全 ，防止 遇 到不良司 机。 2018 年9 月11 日， 交通运输 部、 中央 网信办 、 公安 部等 多部门 组成的专项 工作检 查组陆续进 驻网约 车和顺风车 平台公 司，开展安 全专项检 查，并 且 规定相关 App 在派 单前应用 人脸识 别 等技术， 对 车辆和驾驶 员一致 性进行审查 。同时 ，人脸识别 技术应 用到出行类 App 中可 以有效 保障 司机、乘 客的财 产 和人身安 全。 5. 美图娱乐 类App 的应用场 景 美图娱乐 类 App 接 入人脸识 别功能 除 了保障账 号安全 性 之外还人脸识别技术在 APP 应用中的 隐私安全研究报告（2020 年） 12 可以利用人 脸识别 功能实现各 种极具 创意的互动 营销活 动。以“美 图秀秀” 这一款 人 脸识别 App 为 例进 行说明， 用户在 下 载美图秀 秀 软件进行 拍照后 ， 一般都会 使用图片美 颜 功能 ，此时 App 可接 入人 脸关键点定 位功能 来帮助用户 定位包 括眉毛、眼 睛、下 巴等在内的 人脸关键部 位，方 便用户使用 美颜功 能。同时， 用户 还可 以 自定义 设计个性 夸张、 搞 怪 、 迥异的人 脸照片。 除此之外， 美图娱 乐 类App ， 例如去年 十分火 爆 的ZAO ， 还可通 过人 脸识别技 术提供 照 片换脸、 视 频换脸、 同款表 情 包、换装 换发型 等 服务。 美图娱乐 类 App 使 用人脸识 别技术 是 业务功能 所必要 的 ，但是 应对其收集 、使用 个人生物识 别信息 进行规范。 新版 信息安全技 术 个 人信息 安全规 范 （以 下 简称 规范 ） 规定 ， 收集 个 人生物识 别信息前应 单独告 知使用目的 、方式 和范围，并 征得个 人信息主体 的明示同 意。 同时 ， 规范 还规定 原 则上不应 存储原 始 个人生物 识 别信息。 因此， 在 美图娱乐 类 App 扩 展业务功 能中应 该 本着最小 必 要原则合理 使用人 脸识别技术 ，并应 按照规范 单独 告知并征得 用户同意， 当用户 拒绝授权扩 展业务 功能使用人 脸识别 技术的相关 权限时， App 不 得反 复征求授 权， 也 不能 影响其他 与该权 限 无关的业 务功能的 使用。 6. 电商类App 的应 用场景 电商类 App 接 入人 脸识别功 能的主 要 用途之一 是为了 保 障用户 账号的安 全。 通常 作 法是在登 录账号 时 进行人脸 识别实 现 实人认证 ，人脸识别技术在 APP 应用中的 隐私安全研究报告（2020 年） 13 防止不法 分子通 过 破解密码 登录用 户 账号。其 次，电 商 类 App 为了 提升用户 服务体 验， 利用人脸 识别功 能 提供在线 换装、 试戴 等服务。 除此之外， 电 商类 App 的 人脸识 别应 用场景还 包括： 后 台图像数 据 管理，即 对违禁 图 片和广告 图片的 管 理、直 播、 短 视频等。 电商类 App 使 用人 脸识别技 术基本 上 都是为了 提升用 户 服务体 验、增强 用户粘 性 或者为用 户提供 便 捷性，属 于电商 类 App 的扩 展 业务功能 。因此 ， 电商类 App 在 使用 人脸识别 技术获 取 面部特征 信 息时，应告 知并征 得用户的同 意，用 户有权拒绝 使用相 关服务，不 可强制要 求用户 提 供面部特 征信息 。 7. 智慧园区 类App 的应用场 景 智慧园区 类 App 接 入人脸识 别功能 主 要是为了 进行门 禁 管理、 考勤管理 、会议 管 理等。在 门禁管 理 应用场景 下，员 工 通过 App 实 现一张脸解 决企业 楼宇园区内 所有权 限管理问题 。在考 勤管理应用 场景下 ，App 基于人 脸识别技 术， 结合 网络和GPS 定 位， 可以杜绝 代 打卡现象， 解决外 勤人员考勤 难的问 题。 在会议 管理应 用场景下， 参会人员 通过录 入 人脸进行 会议注 册 ，会议签 到时 App 的人脸识 别 功能会录入 来宾面 部信息，并 自动与 后台信息进 行比对 ，可以快速 地识别出 来宾的 身 份。 智慧园区 类 App 使 用人脸识 别技术 为 企业节省 人工成 本 ，操作 高效快捷 且便于 管 理。但是 ，智慧 园 区类 App 在使 用人 脸识别技 术 的过程中存 在一定 的风险，通 过深度 伪造来欺骗 人脸检 测的安全事人脸识别技术在 APP 应用中的 隐私安全研究报告（2020 年） 14 件层出不穷 。因此 ，国家机关 、保密 单位等重要 部门不 应单纯依靠 人脸识别 技术进 行 门禁管理 。 三、 人脸识 别App 面临的安全 风险 人脸识别技术应用 在提升身份认证便 捷度和效率的同时 ，也给 个人隐私和 数据保 护带来了巨 大的挑 战。通过评 估具有 人脸识别功 能的 App 以及 梳理 国内外人 脸识别 相 关的安全 事件， 本 报告归纳 总 结出以下三 方面的 安全问题， 并针对 这三方面的 安全问 题分别挑选 了应用市 场中下 载 量较多的 应用人 脸 识别技术 的 App 进 行了评估 ， 评估结果 见报告 附 件。 ( 一) 网络和数据安全 保障机制欠缺 易造 成 人脸数据 泄漏 当前关于人脸识别 技术的安全技术 标准 和使用规范不够 完善， 对于人脸数 据控制 者的责任和 义务， 人脸数据主 体的权 利以及人脸 数据在收 集、 存储、 处理等各 环节应 采 取的安全 措施缺 少 相关规定 。 因此， 人脸 识别技 术的大部分 开发企 业和应用服 务提供 商已采取的 安全措施可 能难以 应对人脸识 别技术 面临的安全 威胁， 容易发生人 脸数据泄露 等安全 事件 。 除此 之外， 网络安全生 态环境 持续恶化， 系统的安全 漏洞几 乎不可避免 ，因此 人脸数据库 泄漏事 件也屡见不 鲜 。 更为可 怕的是 ，由于生物 识别 信息 是唯一的 ，是不 可再生的， 因此，一 旦丢失 或 者泄露， 则是永 久 泄露，将 贻害无 穷 。 2019 年 2 月 15 日， 深网视 界公司 （ 主营业务 为人脸 识 别、AI人脸识别技术在 APP 应用中的 隐私安全研究报告（2020 年） 15 和安防）被 曝 发生 大规模数据 泄 露，致 使 256 万 人的 个人 信息能 够 不受限制 地被访 问， 其中包含 身份证 号 码、 身份 证发行 日期 、 性别、 国家、 住 址、 生日 、 照片和 过去24 小时 内 的 位置 ， 大约有 668 万条 记录。 2020 年2 月27 日， 美国人脸 识别初 创企 业Clearview AI 称其 整个客户 名单被 盗。 据悉， Clearview AI 具有超过30 亿张人像 照片， 形成 了 庞大 的生物 特征信息数 据库。 虽然本次案 件声称 仅泄露了 客 户名单，但 Clearview AI 数据库 中 30 多 亿人脸 数据信 息的安全 性 令人担忧 。Clearview AI 律师 表示， 公 司的系统 跟网络 并 没有受到 破坏，目 前已修 复 了相关漏 洞，并 保 证类似事 件不会 再 次发生。 ( 二) 人脸识别技术应 用不规范 为 人脸 数据 滥 用 提供 可能 随着人脸识别技术 越来越普遍的应用 到 人 们的生活中， 人脸特 征也逐渐成 为了人们的身份证 件之一 ，但是人脸 识别技 术的应用存 在一些不 规范的 问 题。首先 ，大部 分 App 在采 集 人脸 数据 时并未 依 据规范 单独明 确告知并征 得用户 同意 ， 甚至 未在隐 私政策中说 明使用人 脸识别 技 术的目的、 范 围和方 式， 使得人脸 数据被 动收集、 使用成为 常态。其 次， 部 分社交 娱乐 类App、 在 线教 育类 App 未按 照 相关法律法 规要求 收集、使用 人脸数 据， 导致人 脸识别 技术滥用事 件时有发 生。 2019 年6 月6 日， 微软公司 疑似因 未 经用户授 权使用 公 众人物人脸识别技术在 APP 应用中的 隐私安全研究报告（2020 年） 16 面部照片 的原因 删 除了曾为 全球最 大 的人脸识 别数据 库MS Celeb 。 据悉，MS Celeb 数 据库拥有 超过1000 万张图像 以及将近10 万人的 面部信息。 在微软 删除该数 据库前，IBM 、 松下电 气、 阿 里巴巴、 辉 达、 日立 、 商汤 科技 、 旷视科 技等多 个商 业组织都 曾使用过 MS Celeb 数据库。 2019 年10 月20 日 ，伊利诺 伊州的 一 起集体诉 讼案指 控 脸书公 司滥用面部 识别数据 ， 脸书的 人脸识 别功能在未 经过用 户同意的情 况下被自动 激活， 系统会要求 用户识 别照片中标 记的人 是否是他们 认识的朋 友。此案涉 及 700 万 用户， 总罚款金 额最高 可 能达到 350 亿美元。法 庭文件 说：“ 脸书 的面部 识别技术违 反了伊 利诺伊州的 生物特征 信息隐 私 法（BIPA）。 违 反 BIPA 的 规定实 际上 损害了用 户 的隐私， 或会对 他 们的隐私 构成实 质 性的威胁 。” ( 三) 人脸的深度伪造 技术严重威胁用 户财产甚至人 身安全 由于 人脸 识别 技术 具有 非接 触性 、成 本低 、检 测快 、自 动学 习等 特点， 人 脸识别 已 经成为身 份识别 中 的重要手 段。 但 是 ， 与人脸 识别 技术共同 发展的 ， 还有借助 机器学 习 系统、 图 像视频 更 改人脸的 “深 度伪造” 技术。自 2017 年以来 ，深度 伪造技术 开始活 跃 在网络中 ， 随着这一 技术算 法 的日趋成 熟， 无 论 是人像还 是声音 、 视频都可 以被 伪造或合 成， 并 可 达到几乎 不能辨 别 真伪的程 度， 身份欺 骗 成 功率 高 达 99.5 ，甚 至成为 许多 人脸 识别 系统 的克 星。 鉴于 此， 借 助深度 伪造技术 破解人 脸 识别等验 证系统 ， 非法盗刷 他人支 付 账户、 获 取他 人个人信 息或从 事 其他冒名 的违法 活 动已成为 可能 ， 严重 威胁到公 民人脸识别技术在 APP 应用中的 隐私安全研究报告（2020 年） 17 财产安全 和人身 安 全， 甚至 会使国 家 安全和公 共安全 受 到威胁，引 发 社会忧虑 和信任 危 机。 2018 年5 月， 美国 总统特朗 普宣布 中 止全球气 候变化 协 议，随 后被比利时 某政党 利用“ 深度 伪造”技术篡改， 做出一 个“ 特朗普 宣告比利 时政府 也 应退出” 的假视 频 ，引起比 利时民 众 的公愤。 根据浙江 省衢州 市 中级人民 法院的 判 决书显示， 从2018 年7 月 份开始， 被告人 张 富、余杭 飞等 4 人 以牟利为 目的， 使 用其购买 的 公民个人身 份信息 注册支付宝 账号， 并使用软件 将公民 头像照片制 作成公民3D 头像 ， 从而通过 支付宝 人 脸识别认 证。 通过 这种方式 来 获取支付 宝提供 的 邀请注册 新支付 宝 用户的相 应红包 奖 励， 共获利4 万元，现 已判刑 。 四、 人脸识 别App 的个人信息 保护相 关建议 有效防范人脸识别 技术可能带来的风 险和挑战需要从完 善相关 法规政策、 加强政 府监管、制 度标准 规范、提高 行业自 律和提升个 体素养等层 面系统 规避，充分 调动各 界力量，共 同营造 良好发展生 态。 ( 一) 加快人脸识别相 关法律法规研制 进程 目前 ， 我国对于公 民生物信息等个人 信息保护的相关法 律法规 散见于民法 总则、 网络安全法 、消费 者权益保护 法以及 最高法、最 高检、国务 院颁布 的相关司法 解释和 规定中 ， 内容 上 也都 仅 是对个 人信息收集 、使用 、存储、传 输等进 行了一些原 则性规 定。因此，人脸识别技术在 APP 应用中的 隐私安全研究报告（2020 年） 18 我国需尽 快完善包 括人脸识 别在内的 个人生物 信息使用 的法律法 规 ， 明确法律要 保护的 公民个人生 物信息 的范围 、 公 民个人 生物信息保 护的义务主 体 ， 强 化责任追究 ，保障 个人生物信 息的安 全、规范使 用，加大对 侵害公 民个人隐私 行为， 特别是对个 人生物 信息泄露、 滥用的处 罚力度 。 ( 二) 加快构建人脸识 别技术应用监管 体系 建立人脸识别技术 应用必要性评估制 度。企业或组织在 采用人 脸识别技术 前，需 要根据技术 实现方 式、业务场 景、数 据收集使用 情况，开展 技术应 用必要性评 估；同 时，相关监 管部门 可以预先建 立人脸识 别技术应 用“负面 清单”或 “白名单 ” ，以 “清 单+ 评估 ” 的监管方式 强化事 前监管。此 外，健 全完善人脸 识别技 术应用事中 评估和事后 问责制 度。一方面 督促使 用人脸识别 技术的 企业或组织 依据相关安 全规范 ，配套人脸 识别技 术安全防控 措施， 定期开展安 全评估；另 一方面 ，对发生人 脸数据 泄露等安全 事件的 涉事企业或 组织严肃问 责，并 在三到五年 内不定 期对涉事企 业进行 回访持续监 督。 ( 三) 加快推进人脸识 别技术的安全系 列标准研制 人脸识别 技术逐 渐 走向成熟 ，应用 人 脸识别技 术的 App 越来越 多，人脸识 别技术 的各类安全 标准， 包括保护个 人生物 信息 的 相关 标准应尽 快出台 。 建议围绕 人脸识 别 技术的 自身 安 全性、 在 App 应 用中的个人 生物识 别信息保护 等方面 的问题，加 快研制 人脸识别技人脸识别技术在 APP 应用中的 隐私安全研究报告（2020 年） 19 术 的安全技 术要求 和管理要求 、 个人 生物信息保 护要求 、安全应用 规范等一 系列标 准 ，指导行 业依据 标 准规范人脸 识 别技术 在 App 中 的使用行 为，提 升 人脸识别 技术的 自 身安全保 护水平 ， 降低 App 应 用人脸识 别技术 的 安全风险， 从而保 障 用户个人 生物信息的 安 全 性。 ( 四) 鼓励行业协会或 社会组织开展行 业自律 当今，以人脸识别 技术为代表的人工 智能技术发展日新 月异